CNDP et WhatsApp au Maroc : ce que tout e-commerçant doit savoir en 2026
Vous vendez en ligne au Maroc. Vous utilisez WhatsApp pour confirmer les commandes, envoyer les suivis de livraison, relancer les paniers abandonnés, et fidéliser vos clients. Mais avez-vous vérifié que vous êtes en conformité avec la loi 09-08 sur la protection des données personnelles ?
La réponse honnête pour la plupart des e-commerçants marocains : probablement pas. Et c’est un risque qui peut coûter cher — amendes CNDP, perte de confiance client, et dans le pire des cas, suspension de votre capacité à envoyer des messages.
Ce guide vous explique, en termes simples et actionnables, ce que la CNDP exige des e-commerçants qui utilisent WhatsApp, et comment vous mettre en conformité sans paralyser votre business.
1. La CNDP et WhatsApp : les 3 règles de base pour l’e-commerce
La loi 09-08 encadre la collecte, le traitement et la conservation des données personnelles au Maroc. Pour un e-commerçant qui utilise WhatsApp, cela se traduit par 3 obligations concrètes :
| Obligation | Ce que ça veut dire pour votre e-commerce |
|---|---|
| Obtenir le consentement (opt-in) | Vous devez avoir l’autorisation explicite du client avant de lui envoyer un message marketing ou une relance. |
| Héberger les données au Maroc | Les données personnelles de vos clients marocains doivent être stockées sur des serveurs situés au Maroc (sauf dérogation CNDP). |
| Permettre la révocation (opt-out) | Le client doit pouvoir se désabonner à tout moment, simplement, sans justification. |
2. L’opt-in WhatsApp : comment l’obtenir sans perdre 50% de vos clients
L’opt-in est le point le plus sensible. Beaucoup d’e-commerçants pensent que si un client leur a déjà écrit sur WhatsApp, ils peuvent lui envoyer des messages marketing. Faux.
Ce qui est valide comme opt-in
✅ Le client vous envoie un message WhatsApp en premier (“Bonjour, le produit X est-il disponible ?”). Vous pouvez lui répondre (service = gratuit). Mais vous ne pouvez pas l’ajouter à votre liste de diffusion marketing sans son accord explicite.
✅ Vous demandez explicitement : “Souhaitez-vous recevoir nos offres et nouveautés par WhatsApp ?” et le client répond “Oui”. Cet échange est horodaté et conservé comme preuve de consentement.
✅ Le client coche une case sur votre site : “Je souhaite recevoir les confirmations de commande et offres promotionnelles par WhatsApp” — avec un lien vers votre politique de confidentialité.
Ce qui n’est PAS valide
❌ Vous importez les numéros de vos clients depuis votre CRM et leur envoyez une campagne marketing sans qu’ils aient donné leur accord pour WhatsApp spécifiquement.
❌ Vous achetez une base de données de numéros marocains et vous envoyez une campagne. C’est illégal ET votre compte WhatsApp sera banni par Meta pour spam.
❌ Le client a coché “J’accepte les CGV” sur votre site → ça ne vaut pas consentement pour le marketing WhatsApp. L’opt-in marketing doit être distinct.
L’astuce Wasel : l’opt-in intégré à la commande
Sur votre boutique Youcan ou Shopify, ajoutez une case à cocher au moment du checkout :
☐ Je souhaite recevoir les mises à jour de ma commande et les offres exclusives par WhatsApp. Je peux me désabonner à tout moment en envoyant “STOP”.
Le client coche → l’opt-in est horodaté et stocké → vous êtes en conformité CNDP. Wasel automatise cette collecte et ce stockage.
3. Hébergement des données : pourquoi le Maroc, et pas AWS Irlande ?
La loi 09-08 exige que les données personnelles des citoyens marocains soient hébergées au Maroc. C’est le point qui disqualifie la plupart des solutions internationales.
| Solution | Hébergement | Conforme CNDP ? |
|---|---|---|
| WhatsApp Business App (gratuite) | Serveurs Meta (US/Irlande) | ❌ |
| WATI, Kommo, 360dialog | AWS/Google Cloud (US/Europe) | ❌ (sans accord spécifique) |
| Wasel | Maroc | ✅ |
Pourquoi c’est critique pour un e-commerçant :
- Les données de vos clients (nom, numéro, adresse, historique d’achat) sont des données personnelles protégées.
- En cas de contrôle CNDP, vous devez pouvoir prouver où sont hébergées ces données.
- Les BSP internationaux hébergent sur AWS Irlande ou Google Cloud US. Ce n’est pas conforme par défaut.
4. Le droit d’accès et de suppression : vos obligations concrètes
La CNDP donne à vos clients le droit de :
- Savoir quelles données vous détenez sur eux
- Rectifier ces données si elles sont erronées
- Supprimer leurs données (droit à l’oubli)
En pratique pour votre e-commerce WhatsApp :
| Action client | Votre obligation | Comment Wasel vous aide |
|---|---|---|
| “Quelles informations avez-vous sur moi ?” | Fournir un export sous 30 jours | Export des conversations et données CRM en 1 clic |
| “Mon numéro a changé” | Mettre à jour le profil client | Interface CRM centralisée |
| “Supprimez mes données” | Supprimer sous 30 jours, preuve de suppression | Suppression avec journal d’audit horodaté |
| “STOP” ou “Désabonnez-moi” | Cesser tout envoi immédiatement | Opt-out automatique en 1 message |
5. Checklist de conformité CNDP pour e-commerçants
Voici une checklist pratique en 10 points. Si vous répondez OUI à toutes les questions, vous êtes en conformité.
- Mes clients donnent un consentement explicite avant de recevoir des messages marketing WhatsApp (case à cocher, réponse “OUI” documentée)
- Je stocke la preuve de consentement (date, heure, contenu du message) pour chaque client
- Les données de mes clients marocains sont hébergées au Maroc (ou j’ai une dérogation CNDP)
- J’ai une politique de confidentialité accessible sur mon site, qui mentionne WhatsApp
- Mes clients peuvent se désabonner en un seul message (“STOP”)
- Je supprime les données des clients qui le demandent, dans un délai de 30 jours
- Je n’achète pas de bases de données de numéros WhatsApp
- Mes employés qui accèdent aux données clients sont formés à la confidentialité
- J’ai un registre de traitement des données (obligatoire pour toute entreprise)
- J’ai désigné un responsable de la protection des données (ou je sais vers qui me tourner)
6. Les sanctions CNDP : ce que vous risquez vraiment
La CNDP n’est pas qu’une menace théorique. Les sanctions peuvent inclure :
- Avertissement : première étape, mais c’est un signal sérieux
- Mise en demeure : obligation de se mettre en conformité sous un délai imparti
- Amende : peut atteindre un pourcentage du chiffre d’affaires
- Suspension du traitement : interdiction temporaire ou définitive d’utiliser les données
- Publication de la sanction : dommage réputationnel souvent plus coûteux que l’amende elle-même
La CNDP a renforcé ses contrôles en 2025-2026, notamment sur le secteur du e-commerce et des applications de messagerie. Le risque n’est plus théorique.
Mettez votre e-commerce en conformité CNDP avec Wasel
Hébergement au Maroc, opt-in automatisé, journal d’audit, suppression des données en 1 clic. Wasel est la seule plateforme WhatsApp conçue pour la conformité CNDP dès le départ.